Federal Risk and Authorization Management Program (FedRAMP)

FedRAMP の概要

米国連邦リスクおよび認可管理プログラム (FedRAMP) は、連邦情報セキュリティ管理法 (FISMA) に基づいてクラウド コンピューティング製品とサービスを評価、監視、認可するための標準化されたアプローチを提供します。 これにより、連邦機関による安全なクラウド ソリューションの導入が加速されます。

行政管理予算局は現在、すべての連邦行政機関に対し、FedRAMP を使用してクラウド サービスのセキュリティを検証することを義務付けています。 他の機関も採用しているので、公共部門の他の分野でも役立ちます。 米国国立標準技術研究所 (NIST) SP 800-53 が必須の標準を設定しています。 情報システムのセキュリティ カテゴリ (機密性、完全性、可用性) を確立し、情報および情報システムが侵害された場合のorganizationへの潜在的な影響を評価します。 FedRAMP は、クラウド サービス プロバイダー (CSP) がこれらの基準を満たしていることを認定するプログラムです。

連邦機関にサービスを販売したい CSP は、FedRAMP コンプライアンスを実証するために次の 3 つの方法を取ることができます。

• Joint Authorization Board (JAB) から暫定的な運用権限 (P-ATO) を取得します。 JAB は、FedRAMP の主要なガバナンスおよび意思決定機関です。 国防総省、国土安全保障省、総務局の代表者が理事会のメンバーを務めています。 理事会は、FedRAMP コンプライアンスを実証する CSP に P-ATO を付与します。
• 連邦政府機関から運用権限 (ATO) を受け取ります。
• プログラムの要件を満たす CSP 提供パッケージを個別に開発します。

これらの各パスには、FedRAMP Program Management Office (PMO) による厳格な技術レビューと、プログラムが認定する独立した第三者organizationによる評価が必要です。

FedRAMP 承認は、NIST ガイドラインに基づいて、低、中、高の 3 つの影響レベルで付与されます。 これらのレベルは、機密性、整合性、または可用性の喪失がorganizationに与える可能性のある影響を、低 (限定的な効果)、中 (重大な悪影響)、および高 (重大または壊滅的な影響) にランク付けします。

Microsoft と FedRAMP

Azure Government、Microsoft Dynamics 365 Government、Office 365 U.S. Government などの Microsoft の政府用クラウド サービスは、米国連邦リスクおよび承認管理プログラム (FedRAMP) の厳しい要件を満たしています。 米国連邦政府機関は、Microsoft Cloud のコスト削減と厳格なセキュリティの恩恵を受けています。

Microsoft Government のクラウド サービスは、公共部門のお客様に、FedRAMP に準拠した豊富なサービスと、FedRAMP High ブループリントなどの堅牢なガイダンスおよび実装ツールを提供します。これは、FedRAMP High コントロールを実装する必要がある Azure デプロイ済みアーキテクチャ向けに、お客様がコア ポリシー セットを展開するのに役立ちます。

対象となる Microsoft クラウド プラットフォームおよびサービス

• Azure および Azure Government
• Dynamics 365 U.S.Government
• Microsoft Intune
• Office 365 (米国政府、米国政府 - 高、米国政府防衛)
• Power BI クラウド サービス (スタンドアロン サービス、または Office 365 ブランド プランあるいはスイートに搭載されているサービス)
• Windows 365 (米国政府機関、米国政府機関 - 高)

Azure、Dynamics 365、FedRAMP

Azure、Dynamics 365、およびその他のオンライン サービス コンプライアンスの詳細については、Azure FedRAMP オファリングを参照してください。

Office 365 と FedRAMP

• Office 365 U.S.Government (GCC および GCCH) には、米国機関の ATO があります。 詳細については、 GCC および GCCH の FedRAMP Marketplace エントリを参照してください。
• Office 365 U.S. Government Defense には、米国国防情報システム局 (DISA) の P-ATO があります。 Office 365 U.S. Government Defense を展開する場合は、DISA P-ATO を使用して機関 ATO を生成し、同意を文書化できます。

Office 365 環境

Microsoft Office 365 はマルチテナントのハイパースケール クラウド プラットフォームであり、世界中の複数の地域のお客様が利用できるアプリとサービスの統合エクスペリエンスです。 ほとんどの Office 365 サービスでは、顧客データがある地域を指定できます。 Microsoft は、データの回復性を確保するために、顧客データを同じ地理的領域 (米国など) 内の他の地域に複製する場合がありますが、Microsoft は選択した地理的地域外には顧客データを複製しません。

このセクションでは、次の Office 365 環境について説明します。

• クライアント ソフトウェア (クライアント): 顧客デバイスで実行されている商用クライアント ソフトウェア。
• Office 365 (商用): グローバルに利用可能な商用パブリックな Office 365 クラウド サービス。
• Office 365 Government コミュニティ クラウド (GCC): FedRAMP Marketplace では Office 365 (商用) として一覧表示されており、Office 365 マルチテナントとも呼ばれ、GCC 環境として使用されています。 Office 365 GCC クラウド サービスは、米国連邦政府、州政府、地方自治体、部族政府、および米国政府に代わってデータを保持または処理する請負業者が利用できます。
• Office 365 Government Community Cloud - 高 (GCC High): Office 365 GCC High クラウド サービス は、国防総省 (DoD) セキュリティ要件ガイドライン レベル 4 のコントロールに従って設計されており、厳しく規制された連邦および国防の情報をサポートします。 この環境は、連邦政府機関、国防産業基盤 (DIB)、政府機関の請負業者によって使用されます。
• Office 365 DoD (DoD): Office 365 DoD クラウド サービス は、DoD セキュリティ要件ガイドライン レベル 5 のコントロールに従って設計されており、厳格な連邦および防衛規制をサポートしています。 この環境は、米国国防総省が排他的に使用するためのものです。

このセクションを使用すると、規制対象の業界やグローバル市場におけるコンプライアンスの義務を果たすことができます。 どの地域でどのサービスが利用できるかを確認するには、「国際的な使用可能性情報」と、「Microsoft 365 顧客データの格納先」の記事を参照してください。 Office 365 Government クラウド環境の詳細については、「Office 365 Government Cloud」の記事を参照してください。

Your organization are responsible to ensure compliance all the law and regulations. このセクションで提供される情報は、法的なアドバイスを構成するものではありません。 organization の規制遵守に関する質問については、法律顧問に相談してください。

Office 365 の適用性と範囲内のサービス

以下の表を使用して、Office 365 サービスとサブスクリプションの適用性を決定します。

Office 365 監査、レポート、証明書

Microsoft は、P-ATO および ATO を維持するために、クラウド サービスを毎年再認定しています。 そのために、Microsoft は自社のセキュリティ管理を継続的に監視および評価し、サービスのセキュリティがコンプライアンスに準拠していることを実証しています。

• Microsoft FedRAMP 監査レポート

よく寄せられる質問

Microsoft クラウド サービスは連邦情報セキュリティ管理法 (FISMA) に準拠していますか?

FISMA は、米国連邦政府機関とそのパートナーに対し、FISMA の要件に準拠する組織からのみ情報システムおよびサービスを調達することを義務付ける連邦法です。 FISMAに準拠していることを示すほとんどの機関とそのベンダーは、NISTがSpecial Publication 800-53 rev 4で特定したコントロールをどのように満たしているかに言及しています。 FISMA プロセス (基礎となる標準自体ではない) は、2011 年に FedRAMP に置き換えられました。

FedRAMP は誰に適用されますか?

FedRAMP は、低および中リスクの影響レベルの連邦政府機関のクラウド展開とサービス モデルに必須です。 CSP の使用を希望する連邦政府機関は、FedRAMP 仕様を満たすことが求められる場合があります。 さらに、連邦政府が使用する製品またはサービスにクラウド テクノロジを採用する企業は、ATO の取得が必要になる場合があります。

私の代理店はどこで独自のコンプライアンスの取り組みを開始しますか?

FedRAMP を正常にナビゲートし、その要件を満たすために連邦政府機関が実行する必要がある手順の概要については、「 Rev5 機関の承認」を参照してください。

代理店の承認プロセスで Microsoft コンプライアンスを使用できますか?

はい。 Microsoft クラウド サービスの認定は、連邦政府機関からの ATO を必要とするプログラムまたはイニシアチブの基盤として使用できます。 ただし、これらのサービス外のコンポーネントについては、独自の許可を取得する必要があります。

FedRAMP のセキュリティで保護された構成ガイドの要件を満たすために、Microsoft 365 テナントを安全に構成および管理するにはどうすればよいですか?

Microsoft 365 for enterprise のドキュメントとリソースは、Microsoft 365 テナント管理者向けのランディング ページです。 Microsoft Entra ドキュメントでは、アクセス管理に Entra ID を使用する方法に関するトピックについて説明します。

注目する特定の Microsoft Learn ページには、次のものがあります。

アカウント管理

• FedRAMP の高影響レベルを満たすように Microsoft Entra ID を構成する
• Microsoft Entra ID を使用して FedRAMP の影響が高いレベルを満たすように ID アクセス制御を構成する
• 緊急アクセス管理者アカウントを管理する

安全な既定値

• Microsoft Entra ID のセキュリティの既定値を構成する
• 既定のユーザー権限
• ベースライン セキュリティ モード設定

現在の設定と推奨される既定値の比較

• ID セキュリティ スコアとは何ですか?
• Microsoft セキュア スコア
• Microsoft Purview コンプライアンス マネージャー
• ゼロ トラスト評価の概要

API を使用したセキュリティ設定のエクスポートと管理

• Microsoft Graph の概要

Microsoft Purview コンプライアンス マネージャーを使用してリスクを評価する

Microsoft Purview コンプライアンス マネージャーは、Microsoft Purview ポータルの機能であり、organizationのコンプライアンス態勢を理解し、リスクを軽減するための措置を講じるのに役立ちます。 コンプライアンスマネージャーには、この規制の評価を構築するためのプレミアム テンプレートが用意されています。 コンプライアンスマネージャーの評価テンプレート ページでテンプレートを見つけます。 コンプライアンスマネージャーで評価をする方法について説明します。

リソース

• Federal Risk and Authorization Management Program
• Microsoft のクラウドにおけるコンプライアンスの管理
• Microsoft Government クラウド